Die Monteure stimmen ihre Aufträge in einer WhatsApp-Gruppe ab. Im Vertrieb liegt eine Excel-Liste mit allen offenen Angeboten, die nur eine Kollegin pflegt. Der Einkauf hat sich ein Trello-Board eingerichtet, und ein Sachbearbeiter lässt Kundenanfragen von seinem privaten ChatGPT-Konto vorformulieren. Nichts davon steht in der IT-Dokumentation, und nichts davon hat jemand genehmigt.

Das nennt man Schatten-IT, und seit es KI-Werkzeuge für jeden gibt, kommt die Schatten-KI dazu. Der erste Reflex ist oft, das alles zu verbieten. Dieser Beitrag schlägt einen anderen Blick vor: Schatten-IT zeigt, wo den Mitarbeitern ein Werkzeug fehlt. Sie ist ein Hinweis, kein Vergehen.

Wie Schatten-IT im Betrieb aussieht

  • Messenger-Gruppen für Aufträge, Schichtpläne oder Fotos von der Baustelle, meist WhatsApp.
  • Private Excel-Listen, die einen Ablauf abbilden, den das ERP nicht kennt: Reklamationen, Werkzeugverleih, Urlaubsplanung, Angebotsverfolgung.
  • Eigene Konten bei ChatGPT, Claude oder Copilot, mit denen Mitarbeiter E-Mails formulieren, Texte übersetzen oder Protokolle zusammenfassen, oft mit Kundendaten im Text.
  • Aufgabenwerkzeuge wie Trello, Notion oder Asana, die ein Team für sich eingerichtet hat.
  • Selbst entwickelte Anwendungen, mit Access, Power Apps oder inzwischen mit KI-Werkzeugen wie Lovable, die einen ganzen Bereich am Laufen halten.
  • Cloud-Speicher wie Dropbox oder das private Google-Konto, weil der Kunde die Zeichnung sonst nicht bekommt.

Warum Schatten-IT entsteht

Niemand richtet sich eine WhatsApp-Gruppe ein, weil er die IT ärgern will. Er tut es, weil der Auftrag heute noch raus muss und das offizielle Werkzeug dafür fehlt, zu langsam ist oder auf dem Handy nicht funktioniert. Die Excel-Liste entsteht, weil das ERP den Ablauf nicht kennt und eine Erweiterung nie beauftragt wurde. Das ChatGPT-Konto entsteht, weil der Betrieb kein eigenes Angebot gemacht hat.

Anders gesagt: Schatten-IT ist ein Versorgungsproblem des Arbeitgebers. Die Mitarbeiter lösen ein Problem, das der Betrieb ihnen gelassen hat. Das ist eine Leistung, keine Nachlässigkeit. Wer sie bestraft, bekommt keine bessere IT, sondern eine besser versteckte.

Was trotzdem ein Problem ist

Der andere Blick heißt nicht, dass alles gut ist. Schatten-IT hat Folgen, die der Betrieb kennen sollte:

  • Wissen hängt an Personen. Geht die Kollegin mit der Excel-Liste, geht die Liste mit. Das Trello-Board gehört dem, der es angelegt hat.
  • Daten liegen an vielen Stellen. Der Auftrag steht im ERP, die Absprache dazu in WhatsApp, der Lieferschein als Foto auf einem privaten Handy.
  • Kundendaten verlassen das Haus. Was in ein privates KI-Konto getippt wird, liegt bei einem Anbieter, mit dem der Betrieb keinen Vertrag hat. Das gehört geprüft, gemeinsam mit Ihrem Datenschutzbeauftragten, ohne dass daraus ein Vorwurf an die Mitarbeiter wird.
  • Selbst Entwickeltes hat Lücken. Eine Anwendung aus dem Baukasten hat oft keine Rechteprüfung, kein Backup und keine Testfassung. Welche Lücken das typischerweise sind, steht im Beitrag Mit KI selbst entwickelt.

Sichtbar machen: fragen, nicht verbieten

Sie erfahren von Schatten-IT nur, wenn Mitarbeiter keine Angst haben, davon zu erzählen. Deshalb hilft kein Verbot, sondern eine Frage: „Welche Werkzeuge nutzt ihr, die nicht von uns kommen, und warum?“ Am besten in der Abteilung, nicht per Rundmail. Wer zuhört, bekommt eine Liste, und zu jedem Eintrag einen Grund.

Diese Gründe sind das Wertvolle. „Weil das ERP auf dem Handy nicht läuft“ ist eine Anforderung. „Weil ich die Angebote sonst nicht im Blick habe“ auch. Wer einmal so gefragt hat, weiß mehr über seine Abläufe als aus jedem Fragebogen.

Was Sie daraus lernen

Jedes Werkzeug im Schatten zeigt einen Ablauf, den die offizielle Software nicht abdeckt. Die Excel-Liste zeigt, welche Felder der Ablauf braucht, weil die Kollegin genau die Spalten angelegt hat, die sie wirklich nutzt. Die WhatsApp-Gruppe zeigt, welche Information der Monteur unterwegs braucht und wann. Das ChatGPT-Konto zeigt, welche Texte im Betrieb immer wieder geschrieben werden. Das sind fertige Anforderungen, formuliert von den Menschen, die die Arbeit machen.

Das Gute übernehmen

  • Eine offizielle Alternative anbieten. Für das private ChatGPT-Konto einen Zugang, den der Betrieb verantwortet, mit klaren Regeln, was hinein darf. Für die WhatsApp-Gruppe eine Erfassung auf dem Handy, die in das Auftragssystem schreibt.
  • Die Excel-Liste ernst nehmen. Wenn eine Liste einen Bereich am Laufen hält, ist sie ein Prototyp. Woran Sie erkennen, dass sie an ihre Grenze kommt, steht im Beitrag Excel als Datenbank.
  • Selbst Entwickeltes nachrüsten statt wegwerfen. Eine Anwendung, die Mitarbeiter angenommen haben, ist viel wert. Was ihr für den Einsatz mit echten Daten fehlt, zeigt der Produktionsreife-Check in zwölf Fragen.
  • Die Regeln danach aufschreiben. Nicht als Verbotsliste, sondern als Antwort: Das ist unser Werkzeug für Aufträge unterwegs, das für Texte, das für Aufgaben.

Wie Sie vorgehen

  1. Fragen Sie in jeder Abteilung nach den Werkzeugen, die nicht von Ihnen kommen, und nach den Gründen.
  2. Sortieren Sie die Liste: Was ist eine Lücke in der Software, was ein fehlender Zugang, was eine Gewohnheit?
  3. Klären Sie mit Ihrem Datenschutzbeauftragten, wo Kundendaten heute liegen.
  4. Schließen Sie die größte Lücke zuerst, mit einer Alternative, die mindestens so bequem ist wie der Schatten.
  5. Wiederholen Sie die Frage regelmäßig. Neue Schatten zeigen neue Lücken.

Ein Betrieb ohne Schatten-IT hat nicht die strengsten Regeln, sondern die passendsten Werkzeuge.